Mardi, 23 h 10. Un chargé de projet d'une firme d'ingénierie de Sherbrooke reçoit sur son cellulaire une demande d'approbation pour une connexion au VPN. Puis une autre. Puis une quinzaine d'autres. Convaincu d'un bogue, il appuie sur « Approuver » pour que ça arrête. L'attaquant, qui avait déjà son mot de passe, vient d'entrer dans le réseau.
Deux semaines plus tard, c'est la comptable qui clique sur un lien « document partagé ». La page de connexion Microsoft est parfaite. Elle tape son mot de passe, puis le code reçu par texto. La fausse page transmet le tout au vrai site en temps réel, et l'attaquant récupère sa session ouverte.
Dans les deux cas, l'entreprise avait « activé le MFA ». Dans les deux cas, ça n'a pas suffi. Toutes les méthodes d'authentification multifacteur ne se valent pas, et le choix fait une vraie différence.
En bref
- N'importe quel MFA vaut mieux qu'un mot de passe seul, mais le texto, les codes et les notifications simples peuvent être contournés.
- Les méthodes résistantes à l'hameçonnage (clés FIDO2, passkeys, Windows Hello for Business) sont liées au vrai site : une fausse page ne peut pas les relayer.
- Commencez par les administrateurs et les finances, retirez les méthodes de secours faibles, puis généralisez à tout le monde.
Comment les attaquants contournent le MFA
Le MFA classique protège bien contre le vol de mot de passe seul. Les attaquants l'ont compris et se sont adaptés.
Le relais en temps réel. C'est la technique de l'« adversaire au milieu » : une trousse d'hameçonnage affiche une copie de la page de connexion et relaie chaque information au vrai site, y compris le code à usage unique. L'attaquant repart avec le jeton de session, qui reste valide sans nouveau code. Le Centre canadien pour la cybersécurité dit avoir détecté plus de 100 campagnes de ce type contre des comptes Microsoft Entra ID entre 2023 et le début de 2025.
La fatigue des notifications. L'attaquant qui connaît le mot de passe déclenche des demandes d'approbation en rafale, souvent la nuit, jusqu'à ce que la victime cède par lassitude ou par réflexe.
L'échange de carte SIM. En convainquant un opérateur de transférer votre numéro sur une nouvelle carte SIM, un fraudeur reçoit vos codes par texto à votre place.
La porte de côté. Un MFA solide ne sert à rien si le SMS reste permis comme méthode de secours, ou si le soutien technique réinitialise le MFA de quiconque appelle en se disant « en panique avant une réunion ».
Le comparatif : du plus faible au plus solide
| Méthode | Résiste à l'hameçonnage ? | Principale faiblesse | Verdict |
|---|---|---|---|
| Code par texto ou appel | Non | Échange de SIM, code relayé par une fausse page | Transition seulement |
| Code par courriel | Non | Si la boîte est compromise, l'attaquant a les deux facteurs | À éviter |
| Application à code (TOTP) | Non | Code relayé par une fausse page | Mieux que le texto |
| Notification « Approuver / Refuser » | Non | Fatigue, approbation par réflexe | À remplacer |
| Notification avec correspondance de nombres | Non | Le relais en temps réel reste possible | Bon minimum pour tous |
| Clé de sécurité FIDO2 | Oui | À transporter, prévoir une clé de secours | Idéal pour les admins |
| Passkey (clé d'accès) | Oui | Dépend de la sécurité de l'appareil ou du compte qui la synchronise | Excellent pour tous |
| Windows Hello for Business | Oui | Liée à un poste Windows géré | Excellent au bureau |
La correspondance de nombres mérite une mention : l'utilisateur doit taper dans l'application le chiffre affiché à l'écran de connexion, ce qui casse l'approbation par réflexe. Microsoft l'applique à toutes les notifications Authenticator. Par contre, si l'utilisateur est sur une fausse page qui relaie la connexion, il verra le bon chiffre et approuvera quand même.
Pourquoi FIDO2 et les passkeys résistent à l'hameçonnage
Une clé FIDO2 ou une passkey ne repose pas sur un code que l'on tape. Elle utilise une paire de clés cryptographiques : la clé privée ne quitte jamais l'appareil, et le site ne conserve que la clé publique.
Surtout, l'identifiant est lié au nom de domaine du vrai site. Si la comptable de notre exemple se retrouve sur une copie à une adresse légèrement différente, son navigateur ne lui proposera tout simplement pas sa passkey. Il n'y a rien à taper, donc rien à voler ni à relayer.
Deux formes existent. Les passkeys synchronisées sont sauvegardées dans le trousseau d'Apple, de Google ou d'un gestionnaire de mots de passe, et suivent l'utilisateur d'un appareil à l'autre. Les passkeys liées à un appareil, comme celles d'une clé physique, ne le quittent jamais : c'est le choix le plus strict, recommandé pour les comptes administrateurs.
Le Centre canadien pour la cybersécurité est clair : les organisations devraient déployer un MFA résistant à l'hameçonnage pour tous les utilisateurs, sans exception, en commençant par les administrateurs, dont il faut retirer toute méthode de secours vulnérable.
Par où commencer dans une PME
Inutile de tout changer en une fin de semaine. Procédez par ordre de risque :
- Les administrateurs : Microsoft 365 ou Google Workspace, pare-feu, console de sauvegarde, registraire de votre nom de domaine. Deux clés FIDO2 par personne ; une clé physique coûte quelques dizaines de dollars.
- Les finances, la paie et la direction : ce sont les cibles de la fraude du président. Passkeys ou clés de sécurité.
- Les accès à distance : VPN et bureau à distance sont des portes d'entrée classiques d'une attaque par rançongiciel. Exigez-y le même niveau de protection.
- Tout le monde : au minimum une application avec correspondance de nombres, puis migration graduelle vers les passkeys.
Avant de généraliser, faites un projet pilote de deux semaines avec quelques volontaires, dont idéalement la personne la moins à l'aise avec la technologie. Vous découvrirez vite les accrocs : un vieux portable sans lecteur d'empreinte, un poste partagé à l'entrepôt, un technicien qui travaille avec des gants. Présentez ensuite le changement comme un gain de confort autant que de sécurité : une fois configurée, la connexion par empreinte ou par clé est plus rapide qu'un mot de passe suivi d'un texto.
Au passage, les questionnaires d'assurance cyber posent généralement des questions précises sur le MFA, notamment pour les accès à distance et les comptes administrateurs. Voyez notre guide pour réussir le questionnaire d'assurance cyber.
Checklist : les pièges qui annulent votre MFA
- Aucune exclusion « temporaire » oubliée (le compte du président, un compte de service, la boîte de la réception)
- Les anciens protocoles de connexion qui ne savent pas demander de second facteur sont bloqués
- Le texto n'est plus offert comme méthode de secours sur les comptes protégés par une clé ou une passkey
- La réinitialisation du MFA par le soutien technique exige une vérification d'identité solide (rappel à un numéro connu, vidéo ou en personne)
- Les boîtes partagées (info@, facturation@) ne permettent pas de connexion directe, ou ont leur propre MFA
- Deux comptes d'urgence (« bris de glace ») existent, protégés par des clés gardées en lieu sûr
- Une alerte se déclenche quand une nouvelle méthode MFA est enregistrée ou qu'une connexion arrive d'un pays inhabituel
Ces réglages se vérifient dans la console d'administration ; ils figurent parmi les points de notre guide d'audit de sécurité Microsoft 365. Notre audit Microsoft 365 et Google Workspace les passe en revue un à un et vous remet un plan de migration réaliste.
En conclusion
Le MFA n'est pas un interrupteur « activé / désactivé ». C'est un éventail de méthodes, dont certaines arrêtent les attaques d'aujourd'hui et d'autres seulement celles d'hier.
Pour une PME, la trajectoire est simple : des clés de sécurité pour les administrateurs dès maintenant, la correspondance de nombres comme plancher pour tous, et les passkeys comme destination. Chaque étape ferme une porte que les attaquants utilisent déjà.
Questions fréquentes
Les passkeys fonctionnent-elles avec Microsoft 365 et Google Workspace ?+
Oui. Microsoft Entra ID, qui gère les connexions à Microsoft 365, accepte les clés de sécurité FIDO2 et les passkeys, y compris celles enregistrées dans l'application Microsoft Authenticator. Google Workspace permet aussi la connexion par passkey et l'obligation d'utiliser des clés de sécurité pour certains comptes. Dans les deux cas, l'administrateur doit d'abord activer ces méthodes dans la console.
Que faire si un employé perd sa clé de sécurité ?+
Désactivez immédiatement la clé perdue dans la console d'administration, puis faites enregistrer la clé de secours. C'est pourquoi on remet deux clés par personne, dont une gardée en lieu sûr. Si l'employé n'a pas de deuxième clé, un accès temporaire (comme le Temporary Access Pass de Microsoft) permet d'en enregistrer une nouvelle sans revenir au SMS.
Peut-on obliger les employés à utiliser leur cellulaire personnel pour le MFA ?+
C'est d'abord une question de politique interne et de relations de travail, et certains employés refusent d'installer une application professionnelle sur leur téléphone. Fournir des clés de sécurité physiques règle la question tout en offrant une meilleure protection. Validez votre politique avec votre conseiller juridique ou en ressources humaines.
Sources
- 1.Centre canadien pour la cybersécurité : Défense contre les attaques de type « adversaire au milieu » grâce à l'authentification multifacteur résistante à l'hameçonnage (ITSM.30.031)
- 2.FIDO Alliance : Passkeys
- 3.Microsoft Learn : fonctionnement de la correspondance de nombres dans les notifications Authenticator